Kişisel verilerin yurt dışına aktarımında açık rıza, ilk akla gelen ama en kırılgan dayanaktır. KVKK (6698 sayılı Kanun) uygulamasında rıza her an geri alınabildiği için, aktarımın tamamını bu temele oturtan yapılar sürdürülebilir olmaz. Veri sahibi tarafında ise asıl risk farklıdır: itiraz süreci kanunun öngördüğü sıraya ve süreye uyulmadan yürütüldüğünde şikâyet incelenmeden kapanır.
Rızanın Geçerli Sayılması İçin Aranan Nitelikler
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Hizmetin alınmasını rıza vermeye bağlayan, tek bir kutuda üyelik sözleşmesi ile aktarım onayını birleştiren ya da hangi ülkeye, hangi alıcı grubuna ve hangi amaçla aktarım yapılacağını göstermeyen metinler bu niteliği taşımaz. Aktarım söz konusu olduğunda bilgilendirmenin ayrıca ve aktarıma özgü yapılması gerekir.
Rıza Tek Başına Kalıcı Bir Çözüm Değildir
- Rıza her zaman geri alınabilir; geri alma anından itibaren aktarımın hukuki dayanağı ortadan kalkar.
- Düzenli ve süreklilik arz eden aktarımlar için kanunun öngördüğü diğer aktarım mekanizmalarının değerlendirilmesi gerekir.
- Aktarımın alt işleyicilere yayıldığı bulut hizmetlerinde zincirin tamamı kayıt altına alınmalıdır.
- Rızanın alındığı an, kanal ve metin sürümü loglanmazsa ispat yükü veri sorumlusunun aleyhine döner.
Veri Sahibi İçin Başvuru Zinciri
- Talebinizi önce veri sorumlusuna yazılı ve tarihli biçimde iletin; hangi verinin nereye aktarıldığını ve hukuki dayanağını sorun.
- Cevap süresini takviminize işleyin; cevap gelmez ya da yetersiz gelirse Kurula şikâyet için tanınan süre bu andan itibaren işler.
- Şikâyet dilekçesine başvurunuzu, tebliğ kaydını ve gelen cevabı eksiksiz ekleyin.
- Zarar doğmuşsa genel hükümlere göre tazminat yolunun ayrıca işletileceğini planlayın.
Veri Sorumlusu Tarafında Belgelendirme
Denetimde en çok zorlayan konu, aktarımın hangi tarihte hangi dayanakla yapıldığının gösterilememesidir. Aktarım envanteri, rıza metinlerinin sürüm geçmişi, geri alma taleplerinin işlenme kaydı ve alıcı ülke listesi güncel tutulmalıdır. Bir ihlal yaşandığında bildirim yükümlülüğünün gecikmesi, esas ihlalden bağımsız ikinci bir sorumluluk doğurur.
Sonuç Notu
Yurt dışı aktarımda hukuka uygunluk, tek bir onay kutusuyla değil, izlenebilir bir belge düzeniyle sağlanır. Veri kategorisi, alıcı ülke ve sektör düzenlemeleri sonucu değiştirebileceğinden, mevcut aydınlatma ve rıza metinlerinizin bir hukukçu tarafından gözden geçirilmesi faydalı olacaktır.